WordPress Güvenlik Açığına 24 Saatte 63 Bin Saldırı Girişimi

WordPress Core'u etkileyen yüksek önem dereceli bir güvenlik açığı, yamaların yayımlanmasının hemen ardından tehdit aktörlerinin radarına girdi. Wordfence, söz konusu açığı hedef alan 62.969 saldırı girişimini tek bir günde engellediğini açıkladı. Açık, WordPress Core'un 4.7 ile 7.1.3 sürümlerini etkiliyor ve CVSS puanı 8.1 olarak belirlendi. Herhangi bir CVE tanımlayıcısına sahip olmayan bu güvenlik zafiyeti için yamalar 28 Ekim 2026'da yayımlandı.

Açık Nasıl Çalışıyor?​

Wordfence'in açıklamasına göre sorun, WordPress'in tam paket çekirdek güncellemeleri sırasında kullandığı tahmin edilebilir ve web üzerinden erişilebilir geçici dizinlerden kaynaklanıyor. Güncelleme sürecinde WordPress, yeni dosyaları wp-content/upgrade altındaki öngörülebilir bir dizine açıyor; bu dizin WordPress yükleyicisini de içeriyor. Pek çok sunucuda bu hazırlık dizinine web ve PHP erişimi açık olduğundan, kimlik doğrulaması yapmamış bir saldırgan tam olarak doğru anı yakalayabilirse yükleyiciyle etkileşime geçerek PHP kod yürütme aşamasına ulaşabiliyor.
Wordfence Tehdit Müdahale Ekibi Lideri Alex Thomas, saldırının başarıya ulaşabilmesi için belirli koşulların bir arada bulunması gerektiğini vurguladı. Yükleyici dosyalarını içeren tam paket güncellemenin yapılıyor olması, hazırlık ağacına web ve PHP erişiminin açık olması, dizin yolunun tahmin edilebilir ya da keşfedilebilir nitelikte bulunması ve WordPress geçici dosyaları temizlemeden önce saldırının tamamlanabilmesi için yeterli sürenin mevcut olması bu koşullar arasında sayıldı.

Yarış Koşulu ve Saldırı Penceresi​

Açığın özü bir yarış koşuluna dayanıyor. Normal laboratuvar ortamlarında bu pencerenin yalnızca birkaç saniye sürdüğü gözlemlendi. Buna karşın saldırganlar, setup-config.php gibi savunmasız yollara defalarca istek göndererek açığı tetiklemeye çalışıyor. Thomas, en büyük iki saldırı kaynağının yaklaşık 14,5 saat boyunca küçük site gruplarını aralıksız taradığını belirtti; bu davranışın kısa güncelleme penceresini yakalamaya yönelik olduğunu ifade etti. Diğer kaynakların ise farklı hazırlık dizini ve sürüm adı kombinasyonlarını denediği görüldü.
Thomas, tüm isteklerin tam savunmasız yolu kullanmadığını ancak sürdürülen tarama ve kesin düzen sondajlarının saldırganların yarış koşulunu hızla kavradığını ve bunu hedef almaya başladığını ortaya koyduğunu aktardı.

Kullanıcılara Yönelik Uyarılar​

Aktif saldırı girişimleri devam ederken WordPress site sahiplerinin bir an önce 7.1.4 sürümüne geçmesi gerekiyor. Bunun yanı sıra wp-content/upgrade altındaki PHP dosyalarına yönelik şüpheli isteklerin, tanınmayan yönetici hesaplarının, bilinmeyen eklentilerin ve alışılmadık PHP dosyalarının yakından izlenmesi öneriliyor.

Sıkça Sorulan Sorular​

Bu güvenlik açığı hangi WordPress sürümlerini etkiliyor?​

Açık, WordPress Core'un 4.7 ile 7.1.3 arasındaki sürümlerini etkiliyor. Sorun, 28 Ekim 2026'da yayımlanan 7.1.4 sürümüyle giderildi.

Saldırganlar bu açığı nasıl istismar ediyor?​

Saldırganlar, WordPress'in tam paket güncelleme sırasında dosyaları açtığı tahmin edilebilir dizin yollarına defalarca istek gönderiyor. Güncelleme penceresi yalnızca birkaç saniye sürdüğünden saldırganlar bu kısa aralığı yakalamak için sürekli tarama yapıyor.

Wordfence kaç saldırı girişimini engelledi?​

Wordfence, açıklamaya göre 24 saatlik süre içinde bu güvenlik açığını hedef alan 62.969 saldırı girişimini engelledi.

Açığın CVSS puanı nedir ve CVE tanımlayıcısı var mı?​

Güvenlik açığının CVSS puanı 8.1 olarak belirlendi. Açığın henüz bir CVE tanımlayıcısı bulunmuyor.

Site sahipleri kendilerini korumak için ne yapmalı?​

Wordfence, WordPress site sahiplerinin bir an önce 7.1.4 sürümüne güncellemesini tavsiye ediyor. Ek olarak wp-content/upgrade dizini altındaki PHP dosyalarına gelen şüpheli istekler, tanımlanmayan yönetici hesapları, bilinmeyen eklentiler ve alışılmadık PHP dosyaları için sunucu kayıtlarının incelenmesi öneriliyor.